Windows 11 25H2 Sürümündeki Yönetici Koruması Güvenlik Açığı Tam Olarak Kapatılamadı

Windows 11 25H2 sürümüyle birlikte tanıtılan Yönetici Koruması (Administrator Protection) özelliğindeki bir güvenlik açığının yamasının eksik olduğu ortaya çıktı. CVE-2025-60718 olarak takip edilen bu yükseltilmiş ayrıcalık açığı, 11 Kasım 2025’te kapatıldığı açıklanmıştı. Ancak Google Project Zero araştırmacıları, yamanın açığı tam olarak kapatmadığını ve sömürülmeye devam edebileceğini duyurdu.

Microsoft Açık İçin Yamayı Kasım 2025’te Yayınladı

Google Project Zero güvenlik araştırmacıları, 8 Ağustos 2025’te “Windows Yönetici Koruması: RAi Yönetici Süreci Başlatma Fonksiyonu Uygulama İsmi Üzerinden Yetki Yükseltme Hatası” başlıklı bir konu açtı. Konuda, Windows Yönetici Koruması özelliğindeki bir güvenlik açığı tanımlandı. Bu açık, düşük ayrıcalıklı bir işlemin bir UI erişim işlemine tam erişim elde etmesine olanak tanıyor. Bu durum, bir gölge yönetici işlemine erişmek için kullanılabiliyor ve sonuçta ayrıcalıkların yükseltilmesine yol açabiliyor.

Microsoft, 11 Kasım 2025 tarihinde CVE-2025-60718 kimlikli güvenlik açığına yönelik bir destek bildirisi yayınladı. Şirket, bu yerel ayrıcalık yükseltme açığını, CVSS 3.1 puanı 7.8 olacak şekilde “Önemli” (Important) şiddet seviyesinde sınıflandırdı.

Açık, Windows Yönetici Koruması özelliğindeki güvenilir olmayan bir arama yolu (untrusted search path) zafiyetinden kaynaklanıyor. Bu zafiyet, sistemde önceden sınırlı yetkilere sahip olan bir saldırganın ayrıcalıklarını yerel olarak yükseltmesine imkan tanıyor.

Açığı başarıyla sömüren bir saldırgan, sistem yöneticisi (SYSTEM) seviyesinde genişletilmiş ayrıcalıklar elde edebilir. Bu durum, yüksek bütünlük seviyesinde keyfi kod yürütülmesine ve Yönetici Koruması gibi koruma önlemlerinin atlanmasına yol açabilir. Güvenlik açığı, yalnızca Windows 11 25H2 sürümünü çalıştıran istemci sistemlerini etkiliyor. Microsoft, açığı 11 Kasım 2025 tarihli kümülatif güvenlik güncellemeleri KB5068861 ve KB5068966 ile giderdiğini duyurdu.

19 Kasım 2025’te Google Project Zero’da bir kişi bu konuya bir ekleme yaptı. Bu kişi, yamanın açığı kapatmadığına inanıyor. AiCheckSecureApplicationDirectory çağrısından çözümlenen yolu almak yerine, AiLaunchProcess işlevinin uygulama adı parametresini yeniden açtığını ve GetFinalPathNameByHandle’i yeniden çağırdığını yazıyor.

Ortaya çıkan yol, gölge yöneticiler etkinleştirildiğinde CreateProcessAsUser’a aktarılıyor. Sorun şu ki, yol bu noktada doğrulanmıyor ve bu nedenle yürütülebilir dosyanın geçici olarak bir saldırganın kontrolündeki bir konuma yönlendirilmesi mümkün oluyor. Bu daha sonra işlem oluşturulurken kullanılıyor. Bu da yeni işlemi, DLL’leri yüklemek için uygulama dizini olarak yönlendirilen konumu kullanmaya zorluyor.

Saldırganların, yol çözümlendikten sonra işlem oluşturulmadan önce gerçek dosyaya geri dönmesi gerekiyor. Bu, AipValidateLaunchedProcess kontrolünün geçmesini sağlamak için gerekiyor. Kontrol, gerçek dosyaya daha önce açılmış bir tanıtıcı kullanıyor. Orijinal ifşa süresi dolduğundan, proje eksik düzeltme detaylarıyla sorunu yayınladı. Aynı zamanda Microsoft Kasım 2025’te bilgilendirildi, ancak herhangi bir geri bildirim alınmadı.

Söz konusu güvenlik açığı, kapsamı ve etki alanı sınırlı bir sorun olarak değerlendiriliyor. Açık, temelde yerel bir ayrıcalık yükseltmesine (local privilege escalation) olanak tanıyor ve sömürülebilmesi için saldırganın hedef makinede kod yürütme imkanına önceden sahip olması gerekiyor.

Sorun, yalnızca henüz yaygın olarak dağıtılmamış olan Windows 11 25H2 sürümünde bulunan “Yönetici Koruması” adlı katılım (opt-in) özelliği ile ilgili. Bu özellik, varsayılan olarak etkin değil ve kullanıcı tarafından açıkça etkinleştirilmesi gerekiyor.

Açığı keşfeden güvenlik araştırmacısı Kasım 2025’te yaptığı açıklamada, test ettiği tüm Windows 11 sistemlerinde Yönetici Koruması özelliğinin bir özellik bayrağı (feature flag) aracılığıyla devre dışı bırakılmış durumda olduğunu ve kullanıcıların bu özelliği etkinleştiremediğini belirtti. Bu nedenle, açık şu an için daha çok teorik ve akademik bir önem taşıyor. Ancak, Windows 11’in özellik dağıtım ve yazılım geliştirme süreçlerindeki iç işleyişi hakkında değerli bir içgörü sunuyor.

Bu durum, Yönetici Koruması adlı yeni ve temel bir güvenlik özelliğinin tanıtım sürecinde, iç işleyişte programlama hatalarına izin verilmiş olması şeklinde yorumlanıyor. Süreçte yapay zekâ destekli kod oluşturmanın rolü tartışmalı olsa da ortaya çıkan tablo genel anlamda olumsuz bir izlenim bırakıyor. Zira söz konusu olan, sıradan bir işlevsellik değil, doğası gereği güvenilir ve sağlam olması beklenen bir koruma mekanizmasıdır.

Bu gelişme, yazılım geliştirme yaşam döngüsündeki güvenlik denetimlerinin etkinliği ve kritik güvenlik yamalarının yönetimi konusunda önemli soruları gündeme getiriyor. Microsoft’un bu açığa yönelik resmi tutumu ve gelecekteki düzeltme stratejisi, hem kullanıcılar hem de siber güvenlik camiası tarafından dikkatle takip edilecek.